WO2017143975A1 - 一种访问控制方法及平台 - Google Patents

一种访问控制方法及平台 Download PDF

Info

Publication number
WO2017143975A1
WO2017143975A1 PCT/CN2017/074311 CN2017074311W WO2017143975A1 WO 2017143975 A1 WO2017143975 A1 WO 2017143975A1 CN 2017074311 W CN2017074311 W CN 2017074311W WO 2017143975 A1 WO2017143975 A1 WO 2017143975A1
Authority
WO
WIPO (PCT)
Prior art keywords
management
user
tenant
role
platform
Prior art date
Application number
PCT/CN2017/074311
Other languages
English (en)
French (fr)
Inventor
童遥
申光
Original Assignee
中兴通讯股份有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 中兴通讯股份有限公司 filed Critical 中兴通讯股份有限公司
Publication of WO2017143975A1 publication Critical patent/WO2017143975A1/zh

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/40—Network security protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/102—Entity profiles
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general

Definitions

  • the present invention relates to the security field of a cloud computing data center, and in particular, to an access control method and platform.
  • SaaS Software as a Service
  • the SaaS model can be divided into four levels of maturity.
  • the SaaS reaches the third level of maturity, that is, the multi-tenant mode
  • the SaaS is required to satisfy the tenant's respective configuration of basic data and to isolate the data between the tenants.
  • the data of ten tenants is sufficiently secure.
  • the multi-tenancy mode puts the tenant data in the same instance at risk of being illegally accessed by other tenants.
  • the traditional RBAC model is a single-layer management model, that is, access control for the platform layer.
  • the platform roles are divided into rule roles and management roles.
  • the rule roles are used to perform the business functions of the platform.
  • the management roles are used to manage the creation of roles and the assignment of permissions in the platform.
  • the traditional RBAC model is global in the allocation and role division of the entire platform. It is not possible to customize the access control policy according to the tenant requirements. It is also impossible to separate the rules and management roles between tenants, and thus cannot be different tenants on the same platform.
  • the data is managed in isolation.
  • the platform administrator has some rights to the tenant administrator.
  • the platform administrator intervenes in the tenant business, which affects the tenant's data security.
  • the traditional RBAC model cannot be based on the tenant's requirements. Personalizing the platform's functional resources, causing tenants to pay for unnecessary functional resources, thereby reducing tenant satisfaction.
  • the main technical problem to be solved by the embodiments of the present invention is to provide an access control method and a platform to solve the technical problem that the data of different tenants in the same platform cannot be isolated in the related art, and the data security of each tenant cannot be effectively guaranteed. .
  • an access control method is provided in the embodiment of the present invention, including:
  • the target resource is provided to the user, and if the user does not have the right to access the target resource, the target resource is refused to be provided to the user.
  • the method before the receiving the resource access request initiated by the user to the platform, the method further includes:
  • the tenant administrator is generated and the resources selected by the tenant administrator are authorized.
  • the tenant administrator is generated, and the resources selected by the tenant administrator are authorized:
  • the role created by the tenant administrator includes a tenant rule role and a tenant management role, and the tenant management role manages the tenant rule role.
  • the method further includes:
  • the management user is allowed to manage the target management object, and if the authority to manage the target management object is not provided, the management user is denied to manage the target management object.
  • the platform includes a platform rule role and a platform management role, and the platform management role manages the platform rule role.
  • an access control platform is further provided in the embodiment of the present invention, including:
  • a third receiving module configured to receive a resource access request initiated by the user to the platform, where the resource access request includes the user account and the target resource;
  • the first obtaining module is configured to obtain, according to the user account, a corresponding role and a role right in the tenant where the user is located;
  • the first determining module is configured to determine, according to the role permission, whether the role has the right to access the target resource
  • the first processing module is configured to provide the target resource to the user if the user has the right to access the target resource, and refuse to provide the target resource to the user if the user does not have the right to access the target resource.
  • the method before the third receiving module receives the resource access request initiated by the user to the platform, the method further includes:
  • the first receiving module is configured to receive the registration request initiated by the tenant to the platform and perform an audit
  • the authorization module is configured to generate a tenant administrator after the audit is passed, and authorize the resources selected by the tenant administrator.
  • the authorization module includes:
  • the configuration submodule is configured to perform role creation, permission allocation, and resource selection by using the tenant administrator;
  • Authorization submodule set to authorize based on the selected resource.
  • the method further includes:
  • a second receiving module configured to receive a management request initiated by the management user to the platform, where the management request includes the management user account and the target management object;
  • a second obtaining module configured to acquire, according to the management user account, a role and a role right of the management user in the tenant;
  • Determining a module configured to determine a management scope of the management user according to the role authority
  • the second determining module is configured to determine, according to the management scope, whether the role has the authority to manage the target management object;
  • the second processing module is configured to allow the management user to manage the target management object if the management authority has the authority of the target management object, and if the management authority does not have the authority to manage the target management object, the management user is denied The target management object is managed.
  • Another embodiment of the present invention provides a computer storage medium, where the computer storage medium stores execution instructions for performing one or a combination of the steps in the foregoing method embodiments.
  • An embodiment of the present invention provides an access control method and a platform, including: receiving a resource access request initiated by a user to a platform, where the resource access request includes a user account and a target resource; and obtaining a corresponding role in the tenant of the user according to the user account. And the role permission, and then determining, according to the role permission, whether the role has the right to access the target resource, and if the user has the right to access the target resource, providing the target resource to the user, if not having the right to access the target resource, rejecting Provide target resources to the user.
  • the user's role of the tenant is used to verify whether the user has the right to access the target resource, and the data of different tenants is effectively isolated to ensure the security of each tenant under the same platform.
  • the related role-based access control model is a single-layer management model.
  • the access control policy makes the allocation of the entire system resources and the division of the role levels global, which causes the tenants to autonomously perform role division, authority allocation and resource selection.
  • the data of different tenants in the same platform cannot be effectively isolated and managed during resource access, so that the privacy of the tenant cannot be guaranteed.
  • the access control method provided by the present application improves the security of tenant privacy by separating the data of each tenant.
  • this application introduces the tenant concept into the role-based access control model, increases the tenant rule role and the tenant management role, and extends the single-layer management model into a two-tier management management model (ie, platform layer and tenant layer), so that the platform and The tenant management models are partially separated to avoid the intervention of the platform administrators to the tenants.
  • the tenants can be differentiated according to their own needs, thus avoiding users paying for the unneeded platform resources.
  • FIG. 1 is a schematic structural diagram of a SaaS system according to Embodiment 1 of the present invention.
  • FIG. 3 is a flowchart of enterprise registration according to Embodiment 1 of the present invention.
  • FIG. 5 is a schematic diagram of an access control platform according to Embodiment 2 of the present invention.
  • Embodiment 1 is a diagrammatic representation of Embodiment 1:
  • An access control method is provided in the embodiment of the present invention. See the schematic diagram of the structure of the SaaS system shown in FIG. 1.
  • Figure 1 there are several basic elements:
  • SaaS Software as a Service
  • a role refers to a job or position in an organization or task.
  • the roles in the SaaS platform include tenant rule role R, tenant management role AR, platform rule role PaR, and platform management role PaAR. Where R(t) and AR(t) respectively represent the rule role set and the management role set of the tenant t.
  • Access rights which refer to the operations allowed for resources. Access rights are divided into:
  • PaP ⁇ pap 1 ,pap 2 ,...,pap n ⁇
  • the rule permission set and the management permission set of the tenant t are respectively represented by P(t) and AP(t).
  • Opera(t) represents the set of operations for tenant t.
  • PaR/PaP Platinum Role/Platform Permission
  • PaR/PaP refers to the platform rule role/permission. These roles use these permissions to be responsible for the daily maintenance of the platform, including tenant account auditing, tenant status management, tenant fee management, and tenant authority management.
  • the platform administrator does not have any authority to interfere with the specific business of the tenant.
  • the enterprise deploying the service will be the platform administrator.
  • PaAR/PaAP Platinum Administrative Role/Platform Administrative Permission
  • PaAR/PaAP Planar Role/Platform Administrative Permission
  • PaAR/PaAP Planar Role/Platform Administrative Permission
  • PaPAC/PaAPAC Platform Rule Permissions/Platform Management Rights Assignment Constraints, which define the relevant constraints for platform rule permissions/platform management permissions when assigned to rule roles/management roles.
  • PaUAC/PaAUAC refers to the platform rule role-user/platform management role-user assignment constraint, which defines the relevant constraints when assigning the platform rule role/platform management role to the user.
  • T refers to a tenant.
  • a single tenant contains multiple rule roles R, rule rights P, management role AR, and management rights AP.
  • Session set S and constraint set C are the collections of the respective session sets of all tenants.
  • the platform management role PaAR has no relationship with the tenant, the platform management of the tenant is completed by the platform rule role PaP.
  • the tenant part, the rule role, the management role, and the relationship between the users are similar to the platform part, and will not be described here.
  • the 1:N relationship between the platform part and the tenant part indicates that there is only one platform control structure of the model, and there may be multiple tenant control structures, which are implemented by each tenant.
  • FIG. 2 is a flowchart of user resource access control according to the embodiment.
  • the steps of the access control method are as follows:
  • step S203 Determine, according to the role authority, whether the role has the right to access the target resource. If the user has the right to access the target resource, go to step S204. If the permission to access the target resource is not available, go to step S205.
  • the platform obtains the role assigned by the user in the tenant and the role authority corresponding to the role, and determines the resource allocated by the tenant to the user according to the role right, the resource is provided by the tenant from the resource selected in the system, and then the user request is verified. Whether the target resource to be accessed is in the resource allocated by the tenant to the user, and if so, the target resource access is normally performed, and conversely, the access is ended. Effectively verify that the user has access to the target resource, and then enter the data between the tenants Line isolation to protect tenant data security.
  • the tenant needs to initiate a registration application to the platform, and the user in the tenant (ie, the enterprise) can access the resource normally.
  • the tenant registration process on the platform is as follows:
  • the platform party ie, the operation service provider
  • reviews the tenant and generates tenant management for the tenant after the audit is passed.
  • the tenant administrator represents the tenant, and through the tenant administrator, the tenant is initialized by role division, authority allocation, and system resource selection. Specifically, the tenant administrator creates a tenant rule role and a tenant management role.
  • the tenant management role manages the tenant rule role. Different tenant rule roles and different tenant management roles assign corresponding role rights. For example, the tenant management role is The management scope of the tenant is divided.
  • the tenant rule role selects the resources required by the tenant, and then the operation service provider charges the resources selected from the system according to the tenant rule role, and authorizes the tenant rule role to use its customized System function, the last tenant enterprise can carry out the tenant business normally.
  • the on-demand grant of system resources in the platform is solved, and the system resources are mapped out from the total resource pool to the tenant according to the tenant requirements, and then the tenant allocates the sub-resource pool autonomously.
  • the method is simple and convenient.
  • the calculation and collection of tenant rental fees can also prevent tenants from paying for unnecessary resources, resulting in wasted resources.
  • resources include a variety of basic data as well as various system functions.
  • FIG. 4 is a flowchart of management user management control according to the embodiment.
  • the specific management control process is as follows:
  • S401 Receive a management request initiated by a management user to a platform, where the management request includes management Account number and target management object;
  • step S404 Determine whether the role has the authority to manage the target management object according to the management scope. If the authority to manage the target management object is provided, go to step S405. If the authority to manage the target management object is not available, go to S406. step;
  • the management user is the user corresponding to the management role in the tenant
  • the common user is the user corresponding to the rule role in the tenant
  • the management user manages the rights allocation and resource division of the ordinary user.
  • the management request includes the login information of the management user, where the login information includes the management user account and the target management object, and the target management object is the corresponding information in the tenant where the management user requests management.
  • the corresponding information includes but is not limited to the role permission and role level of the ordinary user.
  • the management user Before the management user manages the corresponding information, it first needs to verify through the platform to verify whether it has the authority to manage the corresponding information, that is, whether the target management object managed by the management exceeds the scope of its responsibility management. If the verification fails, the platform refuses to manage the management request of the user.
  • the management scope of the tenant management user is effectively controlled, so that the management behavior of the tenant is performed in its own security domain, and the tenant does not interfere with other tenants. Other tenants will not interfere with the tenant itself.
  • each tenant enterprise can conveniently perform the tenant business and manage the tenant internally.
  • the management authority changes accordingly.
  • the method provided in this embodiment can flexibly adjust the role corresponding to the user, and the management user also assigns the corresponding permission to the role. Realize the SaaS third-level maturity model and achieve effective isolation of tenant data.
  • platform roles in an operational service provider providing platform services include platform management Role and platform rule roles, where the platform management role is usually only a few in the entire SaaS platform, which mainly manages the platform rule role; while the platform management role is relatively more, mainly responsible for the daily maintenance of the platform.
  • the platform administrator does not have any authority to interfere with the tenant's specific business.
  • the enterprise deploying the service will be the platform administrator.
  • the platform management user type and the tenant management user type are introduced in the model to realize the separation of functions of platform management and tenant management, thereby eliminating the inheritance relationship between the platform administrator and the tenant administrator authority, and implementing platform security management.
  • the tenant-user management, the tenant-role management, and the tenant-right management are respectively added in the tenant system, and the data of different tenants in the unified system is effectively isolated and managed through the management model.
  • the single-layer management model based on the role access control model is extended to the two-tier management model (platform layer to tenant layer), so that the platform and the tenant management model are partially separated, so that the platform administrator can not intervene the tenant effectively. Protect the privacy of each tenant.
  • the tenant rules section defines:
  • the platform rules section defines:
  • Roles Roles: S ⁇ 2 RT ⁇ ART ⁇ PaR ⁇ PaAR ;
  • the session permissions are as follows:
  • the rule authority can only be assigned to the rule role, so the tenant rule authority, the tenant management authority, the platform rule authority, and the platform management authority have no intersection.
  • Embodiment 2 is a diagrammatic representation of Embodiment 1:
  • FIG. 5 is a schematic diagram of an access control platform provided by the embodiment.
  • the foregoing basic elements and rule definitions are also applicable to the embodiment, and are not described herein.
  • the access control platform 5 includes:
  • the third receiving module 501 is configured to receive a resource access request initiated by the user to the platform, where the resource access request includes the user account and the target resource;
  • the first obtaining module 502 is configured to obtain a corresponding role and role rights of the tenant in which the user is located according to the user account;
  • the first determining module 503 is configured to determine, according to the role authority, whether the role has the right to access the target resource;
  • the first processing module 504 is configured to provide the target resource to the user if the user has the right to access the target resource, and refuse to provide the target resource to the user if the user does not have the right to access the target resource.
  • the access control platform 5 After obtaining the role assigned by the user in the tenant and the role authority corresponding to the role, the access control platform 5 determines the resource allocated by the tenant to the user according to the role authority, and the resource is provided by the tenant from the resource selected in the system. Then, it is verified whether the target resource requested by the user is allocated to the resource allocated by the tenant to the user. If yes, the target resource access is normally performed. Otherwise, the access of the target resource is denied, and the user is effectively verified whether the user has the right to access the target resource, and then each The data between tenants is isolated to protect tenant data security.
  • the tenant needs to initiate a registration request to the platform, and the user in the tenant (ie, the enterprise) can apply for resource access normally, and thus includes The following modules:
  • the first receiving module 505 is configured to receive the registration request initiated by the tenant to the platform and perform an audit
  • the authorization module 506 is configured to generate a tenant administrator after the audit is passed, and authorize the resource selected by the tenant administrator.
  • the authorization module 506 includes:
  • Generating a submodule 5061 configured to generate a tenant administrator for the tenant
  • the configuration sub-module 5062 is configured to perform role creation, authority allocation, and resource selection by the tenant administrator;
  • the authorization sub-module 5063 is configured to authorize according to the selected resource.
  • the above sub-module is specifically: when the tenant applies for registration to the platform, the registered information includes lease-related information such as the tenant enterprise name, and an administrator account is set, and then the platform party (ie, the operation service provider) reviews the tenant, after the approval
  • the generating sub-module 5061 generates a tenant management user for the tenant, and the tenant management user represents the tenant, and performs initialization work such as role division, authority allocation, and system resource selection on the tenant.
  • the tenant management user creates a tenant rule role and a tenant management role. Different tenant rule roles and different tenant management roles assign corresponding role rights. For example, the tenant management role divides the management scope of the tenant in the tenant, and the tenant rule role Choose the resources you need in your tenants.
  • the operation service provider charges the resources selected from the system according to the tenant rule role through the authorization sub-module 5063, and authorizes the tenant rule role to use its customized system function.
  • the tenant enterprise normally performs the tenant service, so that the system resources in the platform can be pressed. You need to grant the system resource to the tenant resource pool from the total resource pool to the tenant according to the tenant's requirement. Then the tenant allocates the sub-resource pool autonomously to prevent the tenant from paying for unnecessary resources, thus causing waste of resources.
  • the method further includes:
  • the second receiving module 507 is configured to receive a management request initiated by the management user to the platform, where the management request includes the management user account and the target management object;
  • the second obtaining module 508 is configured to obtain, according to the management user account, a role and a role right of the management user in the tenant;
  • the determining module 509 is configured to determine a management range of the management user according to the role authority;
  • the second determining module 510 is configured to determine, according to the management scope, whether the role has a tube The authority of the target management object;
  • the second processing module 511 is configured to allow the management user to manage the target management object if the authority of the target management object is managed, and reject the management user if the authority of the target management object is not managed. Manage target management objects.
  • the management user is the user corresponding to the management role in the tenant
  • the common user is the user corresponding to the rule role in the tenant
  • the management user manages the authority allocation and resource division of the ordinary user.
  • the management request includes the login information of the management user, where the login information includes the management user account and the target management object
  • the target management object is the corresponding information in the tenant where the management user requests management.
  • the corresponding information includes but is not limited to the role permission and role level of the ordinary user. Before the management user manages the corresponding information, it first needs to verify through the platform to verify whether it has the authority to manage the corresponding information, that is, whether the target management object managed by the management exceeds the scope of its responsibility management.
  • the platform refuses to manage the management request of the user.
  • the management scope of the tenant management user is effectively controlled, so that the management behavior of the tenant is performed in its own security domain, and the tenant does not interfere with other tenants. Other tenants will not interfere with the tenant itself.
  • modules or steps of the present invention can be implemented by a general-purpose computing device, which can be concentrated on a single computing device or distributed over a network composed of multiple computing devices.
  • they may be implemented by program code executable by the computing device such that they may be stored in a storage medium (ROM/RAM, diskette, optical disk) by a computing device, and in some cases
  • the steps shown or described may be performed in an order different than that herein, or they may be separately fabricated into individual integrated circuit modules, or a plurality of the modules or steps may be implemented as a single integrated circuit module. Therefore, the invention is not limited to any particular combination of hardware and software.
  • an access control method and platform provided by an embodiment of the present invention have the following beneficial effects: when a user accesses a resource in a platform, the user's role rights of the tenant are verified to verify whether the user has the right to access the target resource. Effectively isolate the data of different tenants to ensure the security of each tenant under the same platform.
  • the access control method provided by the present application is more flexible and effective in improving the security of tenant privacy by isolating the data of each tenant.
  • this application introduces the tenant concept into the role-based access control model, increases the tenant rule role and the tenant management role, and extends the single-layer management model into a two-tier management management model (ie, platform layer and tenant layer), so that the platform and The tenant management models are partially separated to avoid the intervention of the platform administrators to the tenants.
  • the tenants can be differentiated according to their own needs, thus avoiding users paying for the unneeded platform resources.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Storage Device Security (AREA)

Abstract

本发明实施例中公开一种访问控制方法及平台，包括：接收用户向平台发起的资源访问请求，该资源访问请求包含用户账号和目标资源；根据该用户账号获取用户所在租户中对应的角色及角色权限，然后根据该角色权限判断该角色是否具备访问目标资源的权限，若具备访问目标资源的权限，提供目标资源给用户，若不具备访问目标资源的权限，拒绝提供目标资源给用户。通过本发明的实施，当用户在平台中进行资源访问时，有效的将不同租户的数据进行隔离，从而保证同一平台下的每个租户数据安全。

Description

一种访问控制方法及平台 技术领域
本发明涉及一种云计算数据中心的安全领域，尤其涉及一种访问控制方法及平台。
背景技术
在云计算数据中心领域，SaaS(Software as a Service)是一种新的软件应用模式，它极大地减少了企业在信息基础设施上的投入。目前，SaaS模式大概可以分为四级成熟度，当SaaS达到第三级成熟度即多租户模式时，则要求SaaS能够满足租户各自配置基础数据并能够隔离租户间的数据，以此来使得每个租户的数据足够安全。此时，该模式是否足够安全并具有相当的可管理性是亟待解决的问题。多租户模式使得处于同一实例的租户数据有被其他租户非法访问的风险。
在目前存在的访问控制方法中，主流使用的有：自主访问控制(DAC)、强制访问控制(MAC)、基于角色的访问控制(RBAC)。但对于SaaS模式来说，目前的研究中，大多都是基于传统RBAC模型的，传统RABC模型为单层管理模型，即针对平台层进行访问控制。平台角色分为规则角色和管理角色，规则角色用来执行平台的业务功能，管理角色用来管理平台中角色的创建、权限的分配。但是传统RBAC模型对整个平台资源的分配和角色划分都是全局性的，不能根据租户需求进行访问控制策略定制，也不能将各租户之间的规则、管理角色分开，进而无法将同一平台不同租户的数据进行隔离管理；同时，平台管理员具有租户管理员的部分权限，在权限继承上会出现平台管理员干预租户业务的情况，从而影响租户的数据安全性；传统RBAC模型也不能根据租户需求对平台功能资源进行个性化定制，导致租户需要为不必要的功能资源买单，从而降低租户满意度。
发明内容
本发明实施例要解决的主要技术问题是，提供一种访问控制方法及平台，以解决相关技术中不能将同一平台中不同租户的数据进行隔离，导致各租户的数据安全无法有效保证的技术问题。
为解决上述技术问题，本发明实施例中提供一种访问控制方法，包括：
接收用户向平台发起的资源访问请求，所述资源访问请求包含所述用户账号和目标资源；
根据所述用户账号获取所述用户所在租户中对应的角色及角色权限；
根据该角色权限判断该角色是否具备访问所述目标资源的权限；
若具备访问所述目标资源的权限，提供目标资源给所述用户，若不具备访问所述目标资源的权限，拒绝提供目标资源给所述用户。
在本发明一种实施例中，在所述接收用户向平台发起的资源访问请求之前还包括：
接收所述租户向平台发起的注册申请并进行审核；
审核通过后生成租户管理员，并对所述租户管理员选择的资源进行授权。
在本发明一种实施例中，所述审核通过后生成租户管理员，并对所述租户管理员选择的资源进行授权包括：
为所述租户生成所述租户管理员；
通过所述租户管理员进行角色创建、权限分配和资源选择；
根据选择的资源进行授权。
在本发明一种实施例中，所述租户管理员创建的角色包括租户规则角色和租户管理角色，所述租户管理角色对所述租户规则角色进行管理。
在本发明一种实施例中，在对所述租户管理员选择的资源进行授权之后，且接收用户向平台发起的资源访问请求之前还包括：
接收管理用户向平台发起的管理请求，所述管理请求包含所述管理用户账号和目标管理对象；
根据所述管理用户账户获取所述管理用户在所述租户中对应的角色及角色权限；
根据所述角色权限确定所述管理用户的管理范围；
根据所述管理范围判断该角色是否具备管理所述目标管理对象的权限；
若具备管理所述目标管理对象的权限，允许所述管理用户对目标管理对象进行管理，若不具备管理所述目标管理对象的权限，拒绝所述管理用户对目标管理对象进行管理。
在本发明一种实施例中，所述平台包含平台规则角色和平台管理角色，所述平台管理角色对所述平台规则角色进行管理。
可选地，本发明实施例中还提供了一种访问控制平台，包括：
第三接收模块，设置为接收用户向平台发起的资源访问请求，所述资源访问请求包含所述用户账号和目标资源；
第一获取模块，设置为根据所述用户账号获取所述用户所在租户中对应的角色及角色权限；
第一判断模块，设置为根据该角色权限判断该角色是否具备访问所述目标资源的权限；
第一处理模块，设置为若具备访问目标资源的权限，提供目标资源给所述用户，若不具备访问目标资源的权限，拒绝提供目标资源给所述用户。
在本发明一种实施例中，在所述第三接收模块接收用户向平台发起的资源访问请求之前还包括：
第一接收模块，设置为接收所述租户向平台发起的注册申请并进行审核；
授权模块，设置为审核通过后生成租户管理员，并对所述租户管理员选择的资源进行授权。
在本发明一种实施例中，所述授权模块包括：
生成子模块，设置为为所述租户生成所述租户管理员；
配置子模块，设置为通过所述租户管理员进行角色创建、权限分配和资源选择；
授权子模块，设置为根据选择的资源进行授权。
在本发明一种实施例中，在所述授权模块根据选择的资源进行授权之后，且所述第三接收模块接收用户向平台发起的资源访问请求之前还包括：
第二接收模块，设置为接收管理用户向平台发起的管理请求，所述管理请求包含所述管理用户账户和目标管理对象；
第二获取模块，设置为根据所述管理用户账户获取所述管理用户在所述租户中对应的角色及角色权限；
确定模块，设置为根据所述角色权限确定所述管理用户的管理范围；
第二判断模块，设置为根据所述管理范围判断该角色是否具备管理所述目标管理对象的权限；
第二处理模块，设置为若具备管理权限所述目标管理对象的权限，允许所述管理用户对目标管理对象进行管理，若不具备管理权限所述目标管理对象的权限，拒绝所述管理用户对目标管理对象进行管理。
本发明另一实施例提供了一种计算机存储介质，所述计算机存储介质存储有执行指令，所述执行指令用于执行上述方法实施例中的步骤之一或其组合。
本发明实施例中的有益效果是：
本发明实施例中提供了一种访问控制方法及平台，包括：接收用户向平台发起的资源访问请求，该资源访问请求包含用户账号和目标资源；根据该用户账号获取用户所在租户中对应的角色及角色权限，然后根据该角色权限判断该角色是否具备访问目标资源的权限，若具备访问所述目标资源的权限，提供目标资源给所述用户，若不具备访问所述目标资源的权限，拒绝提供目标资源给所述用户。通过本发明的实施，当用户在平台中进行 资源访问时，通过用户所在租户的角色权限验证该用户是否具备访问该目标资源的权限，有效的将不同租户的数据进行隔离，从而保证在同一平台下的每个租户数据安全。而相关的基于角色的访问控制模型是单层管理模型，其访问控制策略使得整个系统资源的分配、角色等级的划分都是全局性的，导致租户不能自主进行角色划分、权限分配和资源选择，同时在进行资源访问时对于同一平台中的不同租户的数据也不能进行有效隔离管理，从而无法保障租户的隐私安全。相比之下，本申请提供的访问控制方法通过将各租户的数据进行隔离，更灵活有效的提升租户隐私的安全性。
此外，本申请将租户概念引入基于角色的访问控制模型中，增加了租户规则角色和租户管理角色，将单层管理模型扩展为两层管理管理模型(即平台层和租户层)，使得平台与租户管理模型之间部分分开，避免平台管理员对租户的干预，同时，租户可根据自身需求进行差异化定制，从而避免用户为不需要的平台资源买单。
附图说明
图1为本发明实施例一提供的SaaS系统结构示意图；
图2为本发明实施例一提供的用户资源访问控制流程图；
图3为本发明实施例一提供的企业注册流程图；
图4为本发明实施例一提供的管理用户管理控制流程图；
图5为本发明实施例二提供的访问控制平台示意图。
具体实施方式
下面通过具体实施方式结合附图对本发明作进一步详细说明。
实施例一：
本发明实施例中提供了一种访问控制方法，请参见图1所示的SaaS系统结构示意图。图1中，包含以下几个基本元素：
租户，指SaaS(Software as a Service，软件即服务)平台的使用 企业，记作T＝{t1,t2,...,tn}，表示所有租户的集合。
用户，指可以独立访问平台中的资源的主体，各用户只能在租户许可的范围内访问平台的资源，记作U＝{u1,u2,...,un}，表示所有用户的集合；在SaaS平台中，租户t的用户集为U(t)，而SaaS平台管理员为U(Pa)。
角色，指组织或任务中的工作或岗位，在SaaS平台中角色包括租户规则角色R、租户管理角色AR、平台规则角色PaR和平台管理角色PaAR。其中，R(t)、AR(t)分别表示租户t的规则角色集和管理角色集。
访问权限，指允许对资源进行的各项操作，访问权限分为：
租户规则权限：P＝{p1,p2,...,pn}
租户管理权限：AP＝{ap1,ap2,...,apn}
平台规则权限：PaP＝{pap1,pap2,...,papn}
平台管理权限：PaAP＝{paap1,paap2,...,paapn}
用P(t)、AP(t)分别表示租户t的规则权限集和管理权限集。
资源，指所有需要设置权限的资源通称，如某部分数据，记作Res＝{res1,res2,...,resn}。其中Res(t)表示租户t的资源集合。
操作，指对资源的操作，比如删除、增加，记作Opera＝{opera1,opera2,...,operan}，表示所有操作集，如读、写、执行。其中Opera(t)表示租户t的操作集。
PaR/PaP(Platform Role/Platform Permission)，指平台规则角色/权限，这些角色使用这些权限来负责平台日常维护，包括租户账号审核、租户状态管理、租户费用管理，租户权限的管理。但是平台管理员没有任何权限干涉租户的具体业务，一般部署该服务的企业才会是平台管理员。
PaAR/PaAP(Platform Administrative Role/Platform Administrative Permission)，指平台管理角色/权限，这些角色使用这些权限来维护平台规则角色等，一般整个SaaS平台中也只有较少几个这样的角色。
PaPAC/PaAPAC：平台规则权限/平台管理权限分配约束，定义平台规则权限/平台管理权限在分配给规则角色/管理角色时的相关约束条件。
PaUAC/PaAUAC，指平台规则角色-用户/平台管理角色-用户分配约束，定义了将平台规则角色/平台管理角色分配给用户时的相关约束条件。
T(Tenant)，指租户，单个租户包含多个规则角色R、规则权限P、管理角色AR、管理权限AP，而会话集S、约束集C中为所有租户各自的会话集的合集。并且由于平台管理角色PaAR与租户没有关系，平台对租户的管理通过平台规则角色PaP来完成。租户部分，规则角色、管理角色以及用户之间的关系与平台部分类似，这里不再赘述。
此外，平台部分与租户部分的1:N关系，表示该模型的平台控制结构只有一个，而可以有多个租户控制结构，由各租户自行实现。
可选地，在上述基本元素的基础上，请参见图2，图2为本实施例提供的用户资源访问控制流程图。在本实施例中，访问控制方法的步骤具体如下：
S201，接收用户向平台发起的资源访问请求，资源访问请求包含用户账号和目标资源；
S202，根据用户账号获取用户所在租户中对应的角色及角色权限；
S203，根据该角色权限判断该角色是否具备访问目标资源的权限，若具备访问所述目标资源的权限，请转入S204步骤，若不具备访问所述目标资源的权限，请转入S205步骤；
S204，提供目标资源给该用户；
S205，拒绝提供目标资源给所述用户。
通过上述方法，平台获取用户在租户中分配到的角色以及该角色对应的角色权限，根据角色权限确定租户分配给用户的资源，该资源是由租户从系统中选择的资源提供，然后验证用户请求访问的目标资源是否在租户分配给用户的资源中，若是，则正常进行目标资源访问，反之，结束访问。有效的验证用户是否具备访问目标资源的权限，进而将各租户间的数据进 行隔离，保障租户数据安全。
可选地，在平台接收用户发起的资源访问请求之前，租户需向平台发起注册申请，申请通过后租户(即企业)中的用户才可正常进行资源访问。请参见图3，租户在平台的注册流程如下：
S301，接收租户向平台发起的注册申请并进行审核；
S302，审核通过后生成租户管理员，并对租户管理员选择的资源进行授权。
可选地，租户向平台申请注册时，包括租户企业名称等租约相关信息，并设置管理员账号，然后平台方(即运营服务提供商)对租户进行审核，在审核通过后为租户生成租户管理员，该租户管理员代表租户，并通过该租户管理员对租户进行角色划分、权限分配以及系统资源选择等初始化工作。具体的，租户管理员创建租户规则角色和租户管理角色，租户管理角色对租户规则角色进行管理，不同的租户规则角色和不同的租户管理角色赋予对应的角色权限，如：租户管理角色对其在租户中的管理范围进行划分，租户规则角色对其在租户中所需的资源进行选择，然后运营服务提供商根据租户规则角色从系统中选择的资源进行收费，并授权租户规则角色使用其定制的系统功能，最后租户企业就可正常进行租户业务。通过该注册流程，解决了平台中系统资源的按需授予，将系统资源按租户需求从总资源池中映射出子资源池给租户，然后租户对子资源池进行自主分配，该方法简单且便于租户租费的计算和收取，亦可避免租户为不必要的资源买单，从而造成资源浪费的情况。应该注意的是，资源包括各种基础数据以及各种系统功能。
可选地，在租户企业成功注册并获取平台授权之后，且在用户对平台发起资源访问请求之前，还包括对租户管理用户的管理权限进行验证的流程，该管理控制流程与普通用户的资源访问控制流程相对应，请参见图4，图4为本实施例提供的管理用户管理控制流程图，具体管理控制流程如下：
S401，接收管理用户向平台发起的管理请求，该管理请求包含管理用 户账号和目标管理对象；
S402，根据管理用户账号获取管理用户在租户中对应的角色及角色权限；
S403，根据角色权限确定管理用户的管理范围；
S404，根据管理范围判断该角色是否具备管理目标管理对象的权限，若具备管理所述目标管理对象的权限，请转入S405步骤，若不具备管理所述目标管理对象的权限，请转入S406步骤；
S405，允许管理用户对目标管理对象进行管理；
S406，拒绝管理用户对目标管理对象进行管理。
在上述管理控制流程中，管理用户为租户中管理角色对应的用户，普通用户为租户中规则角色对应的用户，管理用户对普通用户进行权限分配、资源划分等管理。平台在接收管理用户发起的管理请求时，管理请求中包含管理用户的登录信息，登录信息中含有管理用户账号以及目标管理对象，该目标管理对象为管理用户请求管理的其所在租户中的相应信息，相应信息包括但不限于普通用户的角色权限和角色等级。管理用户对该相应信息进行管理前，首先需要通过平台进行验证，验证其是否具备管理该相应信息的权限，即验证其管理的目标管理对象是否超过其职责管理范围。如果验证未通过，平台拒绝管理用户的管理请求，通过该方法，有效的控制租户管理用户的管理范围，使得租户的管理行为都在自身的安全域内进行，该租户不会干扰到其他租户，当然其他租户也不会干扰到该租户本身。
通过该访问控制平台，各租户企业可以很方便地对租户业务进行执行，对租户内部进行管理。当租户企业中某个用户职位发生变化时，其管理权限也相应变化，本实施例提供的方法可以很灵活的对该用户对应的角色进行调整，管理用户也相应的对该角色赋予对应的权限，真正实现SaaS第三级成熟度模型，实现租户数据的有效隔离。
可选地，提供平台服务的运营服务提供商中的平台角色包括平台管理 角色和平台规则角色，其中，平台管理角色通常在整个SaaS平台中只有较少的几个，其主要对平台规则角色进行管理；而平台管理角色相对要多些，主要负责对平台的日常维护，包括租户账号审核、租户状态管理、租户费用管理以及租户权限的管理，但是平台管理员没有任何权限干涉租户的具体业务，一般部署该服务的企业才会是平台管理员。此外，在模型中引入平台管理用户类型和租户管理用户类型，实现平台管理、租户管理的职能分离，进而消除了平台管理员和租户管理员权限的继承关系，实现平台安全管理。
由于本实施例引入租户概念，在租户系统中分别增加了租户-用户管理，租户-角色管理，租户-权限管理，通过该管理模型，有效地对统一系统中的不同租户的数据进行隔离管理，并且将基于角色访问控制模型的单层管理模型扩展到两层管理模型(平台层到租户层)，使得平台与租户管理模型之间得以部分分开，以实现平台管理者对租户的不可干预，有效保障各租户的隐私。
在本实施例中，上述流程均基于以下规则定义进行执行，具体定义如下：
租户规则部分定义：
Figure PCTCN2017074311-appb-000001
其中x∈{R,U,P}；
表示从角色集/用户集/权限集到租户集的多对一映射。
Figure PCTCN2017074311-appb-000002
其中x∈{U,P,R}；
表示从角色集到用户集/权限集/角色集的多对多映射。
租户管理部分定义：
Figure PCTCN2017074311-appb-000003
其中x∈{AR,AP}；
表示从管理角色集/管理权限集到租户集的多对一映射。
Figure PCTCN2017074311-appb-000004
其中x∈{U,AP,AR}；
表示从管理角色集到用户/管理权限集/管理角色集的多对多映射。
平台规则部分定义：
Figure PCTCN2017074311-appb-000005
其中x∈{PaP,U,PaR}；
表示某SaaS应用中，从SaaS平台规则角色集到SaaS平台规则权限集/用户/平台规则角色集的多对多映射。
平台管理部分定义：
Figure PCTCN2017074311-appb-000006
其中x∈{PaAP,U,PaAR}；
表示某SaaS应用中，从SaaS平台管理角色集到SaaS平台管理权限集/用户/平台管理角色集的多对多映射。
映射定义：
Permission：Opera->Res；
表示操作到资源的映射关系，用(opera，res)二元组表示，如：
(Read,Res1)∈Permission，表示对res1具有读取权限。
Users：S->U；
表示会话到用户的映射关系，用(session，user)表示，如：
(session1,user1)∈Users，表示session1是属于用户user1的会话。
Roles：Roles:S→2RT∪ART∪PaR∪PaAR；
表示会话到角色集的映射关系，用二元组(session,roleset)表示，如：(session1,roleset1)∈Roles，表示session1所具有的相应角色集，其中roleset表示一组角色的集合。并且有：(在实现时，可以将服务提供商视为一个特别的租户)
Figure PCTCN2017074311-appb-000007
其中，会话权限如下：
Figure PCTCN2017074311-appb-000008
由于管理权限只能赋予管理角色，规则权限只能赋予规则角色，所以租户规则权限、租户管理权限、平台规则权限、平台管理权限两两无交集。
实施例二：
请参见图5，图5为本实施例提供的访问控制平台示意图；此外，上述基本元素和规则定义同样适用于本实施例，这里不再阐述。
在本实施例中，访问控制平台5包括：
第三接收模块501，设置为接收用户向平台发起的资源访问请求，资源访问请求包含用户账号和目标资源；
第一获取模块502，设置为根据用户账号获取用户所在租户中对应的角色及角色权限；
第一判断模块503，设置为根据该角色权限判断该角色是否具备访问目标资源的权限；
第一处理模块504，设置为若具备访问目标资源的权限，提供目标资源给所述用户，若不具备访问目标资源的权限，拒绝提供目标资源给所述用户。
通过上述访问控制平台5，在获取用户在租户中分配到的角色以及该角色对应的角色权限后，根据角色权限确定租户分配给用户的资源，该资源是由租户从系统中选择的资源提供，然后验证用户请求访问的目标资源是否在租户分配给用户的资源中，若是，则正常进行目标资源访问，反之，拒绝目标资源的访问，有效的验证用户是否具备访问目标资源的权限，进而将各租户间的数据进行隔离，保障租户数据安全。
可选地，在第三接收模块501接收用户向平台发起的资源访问请求之前，租户需向平台发起注册申请，申请通过后租户(即企业)中的用户才可正常进行资源访问，因此还包括以下模块：
第一接收模块505，设置为接收所述租户向平台发起的注册申请并进行审核；
授权模块506，设置为审核通过后生成租户管理员，并对租户管理员选择的资源进行授权。
其中，授权模块506包括：
生成子模块5061，设置为为租户生成租户管理员；
配置子模块5062，设置为通过租户管理员进行角色创建、权限分配和资源选择；
授权子模块5063，设置为根据选择的资源进行授权。
上述子模块具体为：租户向平台申请注册时，注册的信息包括租户企业名称等租约相关信息，同时设置管理员账号，然后平台方(即运营服务提供商)对租户进行审核，在审核通过后生成子模块5061为租户生成租户管理用户，该租户管理用户代表租户，对租户执行角色划分、权限分配以及系统资源选择等初始化工作。具体的，租户管理用户创建租户规则角色和租户管理角色，不同的租户规则角色和不同的租户管理角色赋予对应的角色权限，如租户管理角色对其在租户中的管理范围进行划分，租户规则角色对其在租户中所需的资源进行选择。然后运营服务提供商通过授权子模块5063根据租户规则角色从系统中选择的资源进行收费，并授权租户规则角色使用其定制的系统功能，最后租户企业正常进行租户业务，使得平台中系统资源能按需授予，将系统资源按租户需求从总资源池中映射出子资源池给租户，然后租户对子资源池进行自主分配，避免租户为不必要的资源买单，从而造成资源浪费。
此外，在授权模块506根据选择的资源进行授权之后，且第三接收模块501接收用户向平台发起的资源访问请求之前还包括：
第二接收模块507，设置为接收管理用户向平台发起的管理请求，所述管理请求包含所述管理用户账号和目标管理对象；
第二获取模块508，设置为根据所述管理用户账号获取所述管理用户在所述租户中对应的角色及角色权限；
确定模块509，设置为根据所述角色权限确定所述管理用户的管理范围；
第二判断模块510，设置为根据所述管理范围判断该角色是否具备管 理所述目标管理对象的权限；
第二处理模块511，设置为若具备管理权限所述目标管理对象的权限，允许所述管理用户对目标管理对象进行管理，若不具备管理权限所述目标管理对象的权限，拒绝所述管理用户对目标管理对象进行管理。
在上述各模块中，管理用户为租户中管理角色对应的用户，普通用户为租户中规则角色对应的用户，管理用户对普通用户进行权限分配、资源划分等管理。平台在接收管理用户发起的管理请求时，管理请求中包含管理用户的登录信息，登录信息中含有管理用户账号以及目标管理对象，该目标管理对象为管理用户请求管理的其所在租户中的相应信息，相应信息包括但不限于普通用户的角色权限和角色等级。管理用户对该相应信息进行管理前，首先需要通过平台进行验证，验证其是否具备管理该相应信息的权限，即验证其管理的目标管理对象是否超过其职责管理范围。如果验证未通过，平台拒绝管理用户的管理请求，通过该方法，有效的控制租户管理用户的管理范围，使得租户的管理行为都在自身的安全域内进行，该租户不会干扰到其他租户，当然其他租户也不会干扰到该租户本身。
显然，本领域的技术人员应该明白，上述本发明的各模块或各步骤可以用通用的计算装置来实现，它们可以集中在单个的计算装置上，或者分布在多个计算装置所组成的网络上，可选地，它们可以用计算装置可执行的程序代码来实现，从而，可以将它们存储在存储介质(ROM/RAM、磁碟、光盘)中由计算装置来执行，并且在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤，或者将它们分别制作成各个集成电路模块，或者将它们中的多个模块或步骤制作成单个集成电路模块来实现。所以，本发明不限制于任何特定的硬件和软件结合。
以上内容是结合具体的实施方式对本发明所作的进一步详细说明，不能认定本发明的具体实施只局限于这些说明。对于本发明所属技术领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干简单推演或替换，都应当视为属于本发明的保护范围。
工业实用性
如上所述，本发明实施例提供的一种访问控制方法及平台具有以下有益效果：当用户在平台中进行资源访问时，通过用户所在租户的角色权限验证该用户是否具备访问该目标资源的权限，有效的将不同租户的数据进行隔离，从而保证在同一平台下的每个租户数据安全。本申请提供的访问控制方法通过将各租户的数据进行隔离，更灵活有效的提升租户隐私的安全性。此外，本申请将租户概念引入基于角色的访问控制模型中，增加了租户规则角色和租户管理角色，将单层管理模型扩展为两层管理管理模型(即平台层和租户层)，使得平台与租户管理模型之间部分分开，避免平台管理员对租户的干预，同时，租户可根据自身需求进行差异化定制，从而避免用户为不需要的平台资源买单。

Claims (10)

  1. 一种访问控制方法，包括：
    接收用户向平台发起的资源访问请求，所述资源访问请求包含所述用户账号和目标资源；
    根据所述用户账号获取所述用户所在租户中对应的角色及角色权限；
    根据该角色权限判断该角色是否具备访问所述目标资源的权限；
    若具备访问所述目标资源的权限，提供目标资源给所述用户，若不具备访问所述目标资源的权限，拒绝提供目标资源给所述用户。
  2. 如权利要求1所述的访问控制方法，其中，在所述接收用户向平台发起的资源访问请求之前还包括：
    接收所述租户向平台发起的注册申请并进行审核；
    审核通过后生成租户管理员，并对所述租户管理员选择的资源进行授权。
  3. 如权利要求2所述的访问控制方法，其中，所述审核通过后生成租户管理员，并对所述租户管理员选择的资源进行授权包括：
    为所述租户生成所述租户管理员；
    通过所述租户管理员进行角色创建、权限分配和资源选择；
    根据选择的资源进行授权。
  4. 如权利要求3所述的访问控制方法，其中，所述租户管理员创建的角色包括租户规则角色和租户管理角色，所述租户管理角色对所述租户规则角色进行管理。
  5. 如权利要求2所述的访问控制方法，其中，在对所述租户管理员选择的资源进行授权之后，且接收用户向平台发起的资源访问请求之前还包括：
    接收管理用户向平台发起的管理请求，所述管理请求包含所述管理用户账号和目标管理对象；
    根据所述管理用户账户获取所述管理用户在所述租户中对应的角色及角色权限；
    根据所述角色权限确定所述管理用户的管理范围；
    根据所述管理范围判断该角色是否具备管理所述目标管理对象的权限；
    若具备管理所述目标管理对象的权限，允许所述管理用户对目标管理对象进行管理，若不具备管理所述目标管理对象的权限，拒绝所述管理用户对目标管理对象进行管理。
  6. 如权利要求1-5任一项所述的访问控制方法，其中，所述平台包含平台规则角色和平台管理角色，所述平台管理角色对所述平台规则角色进行管理。
  7. 一种访问控制平台，包括：
    第三接收模块，设置为接收用户向平台发起的资源访问请求，所述资源访问请求包含所述用户账号和目标资源；
    第一获取模块，设置为根据所述用户账号获取所述用户所在租户中对应的角色及角色权限；
    第一判断模块，设置为根据该角色权限判断该角色是否具备访问所述目标资源的权限；
    第一处理模块，设置为若具备访问目标资源的权限，提供目标资源给所述用户，若不具备访问目标资源的权限，拒绝提供目标资源给所述用户。
  8. 如权利要求7所述的访问控制平台，其中，在所述第三接收模块接收用户向平台发起的资源访问请求之前还包括：
    第一接收模块，设置为接收所述租户向平台发起的注册申请并进行审核；
    授权模块，设置为审核通过后生成租户管理员，并对所述租户管理员选择的资源进行授权。
  9. 如权利要求8所述的访问控制平台，其中，所述授权模块包括：
    生成子模块，设置为为所述租户生成所述租户管理员；
    配置子模块，设置为通过所述租户管理员进行角色创建、权限分配和资源选择；
    授权子模块，设置为根据选择的资源进行授权。
  10. 如权利要求8所述的访问控制平台，其中，在所述授权模块根据选择的资源进行授权之后，且所述第三接收模块接收用户向平台发起的资源访问请求之前还包括：
    第二接收模块，设置为接收管理用户向平台发起的管理请求，所述管理请求包含所述管理用户账户和目标管理对象；
    第二获取模块，设置为根据所述管理用户账户获取所述管理用户在所述租户中对应的角色及角色权限；
    确定模块，设置为根据所述角色权限确定所述管理用户的管理范围；
    第二判断模块，设置为根据所述管理范围判断该角色是否具备管理所述目标管理对象的权限；
    第二处理模块，设置为若具备管理权限所述目标管理对象的权限，允许所述管理用户对目标管理对象进行管理，若不具备管理权限所述目标管理对象的权限，拒绝所述管理用户对目标管理对象进行管理。
PCT/CN2017/074311 2016-02-23 2017-02-21 一种访问控制方法及平台 WO2017143975A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201610100346.8 2016-02-23
CN201610100346.8A CN107104931A (zh) 2016-02-23 2016-02-23 一种访问控制方法及平台

Publications (1)

Publication Number Publication Date
WO2017143975A1 true WO2017143975A1 (zh) 2017-08-31

Family

ID=59658459

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2017/074311 WO2017143975A1 (zh) 2016-02-23 2017-02-21 一种访问控制方法及平台

Country Status (2)

Country Link
CN (1) CN107104931A (zh)
WO (1) WO2017143975A1 (zh)

Cited By (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109829336A (zh) * 2019-02-12 2019-05-31 浪潮软件股份有限公司 一种菜单权限的管理方法及装置
CN111898868A (zh) * 2020-07-06 2020-11-06 上海泛微网络科技股份有限公司 一种资源占用显示的方法及装置
CN111950024A (zh) * 2020-08-14 2020-11-17 上海弘快科技有限公司 一种可以实现电子物料管理的系统平台
CN112528251A (zh) * 2020-12-18 2021-03-19 深圳竹云科技有限公司 用户账号权限管理方法、装置、设备以及可读介质
CN112764725A (zh) * 2021-02-22 2021-05-07 浪潮云信息技术股份公司 一种基于jwt实现用户同步的方法
CN112866293A (zh) * 2021-03-05 2021-05-28 武汉思普崚技术有限公司 一种网关设备系统管理员权限管理方法及装置
CN113239344A (zh) * 2021-05-12 2021-08-10 建信金融科技有限责任公司 一种访问权限控制方法和装置
CN113542419A (zh) * 2021-07-16 2021-10-22 深圳银兴智能数据有限公司 跨平台多租户管控系统
CN114327445A (zh) * 2022-01-25 2022-04-12 上海电气集团数字科技有限公司 一种基于自定义算子组件的模型开发平台及其方法
CN114666126A (zh) * 2022-03-21 2022-06-24 阿里云计算有限公司 资源管理方法、装置、服务器及系统
CN115017484A (zh) * 2022-08-04 2022-09-06 北京航天驭星科技有限公司 访问控制方法以及装置
CN115563117A (zh) * 2022-10-14 2023-01-03 广州明动软件股份有限公司 一种基于SaaS技术的多租户管理应用及其实现方法
CN116383783A (zh) * 2022-12-28 2023-07-04 河北省气象服务中心(河北省气象影视中心) 一种数据安全管理方法

Families Citing this family (25)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107682285A (zh) * 2017-09-27 2018-02-09 国云科技股份有限公司 一种异构云平台统一资源授权方法
CN107659450B (zh) * 2017-09-29 2020-07-14 深圳索信达数据技术有限公司 大数据集群资源的分配方法、分配装置及存储介质
CN107770173A (zh) * 2017-10-20 2018-03-06 国信嘉宁数据技术有限公司 用户管理系统、相关身份信息创建方法和请求校验方法
CN107808103A (zh) * 2017-11-13 2018-03-16 北京中电普华信息技术有限公司 一种数据权限的控制方法及控制装置
CN107911465A (zh) * 2017-11-28 2018-04-13 国云科技股份有限公司 一种多云平台的资源粒度过滤方法
CN108540485B (zh) * 2018-04-24 2021-01-19 珠海市新德汇信息技术有限公司 一种跨区域数据共享系统
CN110784433B (zh) * 2018-07-31 2022-08-23 阿里巴巴集团控股有限公司 一种用户访问处理方法、装置及设备
CN110855599B (zh) * 2018-08-20 2022-10-21 中兴通讯股份有限公司 一种多租户访问控制方法及装置、计算机可读存储介质
CN109214151A (zh) * 2018-09-28 2019-01-15 北京赛博贝斯数据科技有限责任公司 用户权限的控制方法及系统
CN110968880A (zh) * 2018-09-30 2020-04-07 北京国双科技有限公司 账户权限的处理方法和装置
CN110968858B (zh) * 2018-09-30 2022-04-01 北京国双科技有限公司 一种用户权限控制方法及系统
CN109450984B (zh) * 2018-10-16 2021-12-21 深信服科技股份有限公司 一种云架构的管理方法、设备及计算机可读存储介质
CN109471870B (zh) * 2018-11-16 2021-07-20 北京金山云网络技术有限公司 资源数据读取的方法、装置、电子设备和计算机可读介质
CN109992416B (zh) * 2019-03-20 2022-03-18 跬云(上海)信息科技有限公司 基于预计算olap模型的多租户服务方法及装置
CN110414252A (zh) * 2019-08-02 2019-11-05 湖南御家科技有限公司 一种业务处理方法、系统及电子设备和存储介质
CN110457932A (zh) * 2019-08-19 2019-11-15 赛尔网络有限公司 确定资源访问权限的方法、装置、设备及介质
CN111177744B (zh) * 2019-12-07 2022-02-11 杭州电子科技大学 一种基于二叉树的访问控制策略存储和匹配方法
CN113127887B (zh) * 2019-12-30 2024-07-26 中移信息技术有限公司 数据权限隔离性判断方法、装置、设备及存储介质
CN111324875A (zh) * 2020-02-17 2020-06-23 支付宝(杭州)信息技术有限公司 用户数据的操作权限控制、账户管理方法、装置和系统
CN113642011A (zh) * 2020-05-11 2021-11-12 阿里巴巴集团控股有限公司 资源访问、权限验证、信息处理方法、设备及存储介质
CN111935131B (zh) * 2020-08-06 2024-06-07 中国工程物理研究院计算机应用研究所 一种基于资源权限树的SaaS资源访问控制方法
CN112347436A (zh) * 2020-10-27 2021-02-09 杭州安恒信息技术股份有限公司 一种安全资源池内安全组件的权限管理方法及相关组件
CN113285933A (zh) * 2021-05-13 2021-08-20 京东数字科技控股股份有限公司 用户访问控制方法、装置、电子设备与存储介质
CN113923023B (zh) * 2021-10-09 2024-04-05 京东科技信息技术有限公司 权限配置和数据处理的方法、装置、电子设备及介质
CN115994036B (zh) * 2023-03-22 2023-06-02 北京腾达泰源科技有限公司 云平台租户隔离方法、装置、设备及存储介质

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102231693A (zh) * 2010-04-22 2011-11-02 北京握奇数据系统有限公司 访问权限的管理方法及装置
CN103685463A (zh) * 2013-11-08 2014-03-26 浪潮(北京)电子信息产业有限公司 云计算系统中访问控制的方法和系统
CN104219326A (zh) * 2014-09-23 2014-12-17 深圳市爱洁家环保科技有限公司 保洁服务信息管理系统中的资源共享装置和方法
CN104579726A (zh) * 2013-10-16 2015-04-29 航天信息股份有限公司 对用户的网络资源使用权限进行管理的方法和装置

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103036856A (zh) * 2011-10-09 2013-04-10 镇江金软计算机科技有限责任公司 基于saas应用的多租户系统实现
CN102611699A (zh) * 2012-02-22 2012-07-25 浪潮(北京)电子信息产业有限公司 一种云操作系统中访问控制的方法和系统
CN102968599B (zh) * 2012-10-25 2016-05-04 北京邮电大学 基于资源发布者自定义的访问控制系统及方法

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102231693A (zh) * 2010-04-22 2011-11-02 北京握奇数据系统有限公司 访问权限的管理方法及装置
CN104579726A (zh) * 2013-10-16 2015-04-29 航天信息股份有限公司 对用户的网络资源使用权限进行管理的方法和装置
CN103685463A (zh) * 2013-11-08 2014-03-26 浪潮(北京)电子信息产业有限公司 云计算系统中访问控制的方法和系统
CN104219326A (zh) * 2014-09-23 2014-12-17 深圳市爱洁家环保科技有限公司 保洁服务信息管理系统中的资源共享装置和方法

Cited By (16)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109829336A (zh) * 2019-02-12 2019-05-31 浪潮软件股份有限公司 一种菜单权限的管理方法及装置
CN111898868A (zh) * 2020-07-06 2020-11-06 上海泛微网络科技股份有限公司 一种资源占用显示的方法及装置
CN111950024A (zh) * 2020-08-14 2020-11-17 上海弘快科技有限公司 一种可以实现电子物料管理的系统平台
CN112528251B (zh) * 2020-12-18 2022-02-01 深圳竹云科技有限公司 用户账号权限管理方法、装置、设备以及可读介质
CN112528251A (zh) * 2020-12-18 2021-03-19 深圳竹云科技有限公司 用户账号权限管理方法、装置、设备以及可读介质
CN112764725A (zh) * 2021-02-22 2021-05-07 浪潮云信息技术股份公司 一种基于jwt实现用户同步的方法
CN112866293A (zh) * 2021-03-05 2021-05-28 武汉思普崚技术有限公司 一种网关设备系统管理员权限管理方法及装置
CN113239344A (zh) * 2021-05-12 2021-08-10 建信金融科技有限责任公司 一种访问权限控制方法和装置
CN113542419A (zh) * 2021-07-16 2021-10-22 深圳银兴智能数据有限公司 跨平台多租户管控系统
CN114327445A (zh) * 2022-01-25 2022-04-12 上海电气集团数字科技有限公司 一种基于自定义算子组件的模型开发平台及其方法
CN114666126A (zh) * 2022-03-21 2022-06-24 阿里云计算有限公司 资源管理方法、装置、服务器及系统
CN114666126B (zh) * 2022-03-21 2024-06-07 阿里云计算有限公司 资源管理方法、装置、服务器及系统
CN115017484A (zh) * 2022-08-04 2022-09-06 北京航天驭星科技有限公司 访问控制方法以及装置
CN115563117A (zh) * 2022-10-14 2023-01-03 广州明动软件股份有限公司 一种基于SaaS技术的多租户管理应用及其实现方法
CN115563117B (zh) * 2022-10-14 2023-08-29 广州明动软件股份有限公司 一种基于SaaS技术的多租户管理应用及其实现方法
CN116383783A (zh) * 2022-12-28 2023-07-04 河北省气象服务中心(河北省气象影视中心) 一种数据安全管理方法

Also Published As

Publication number Publication date
CN107104931A (zh) 2017-08-29

Similar Documents

Publication Publication Date Title
WO2017143975A1 (zh) 一种访问控制方法及平台
US20210409218A1 (en) Access control for short-lived resource principals
US8813225B1 (en) Provider-arbitrated mandatory access control policies in cloud computing environments
EP3488584B1 (en) Usage tracking in hybrid cloud computing systems
US9075955B2 (en) Managing permission settings applied to applications
US11196749B2 (en) System and method for controlling a multi-tenant service-oriented architecture
JP6542810B2 (ja) マルチテナントアプリケーションサーバ環境におけるワークマネージャを提供するためのシステムおよび方法
CN108259422B (zh) 一种多租户访问控制方法和装置
US20210409409A1 (en) Temporary cloud provider credentials via secure discovery framework
US11102214B2 (en) Directory access sharing across web services accounts
US20210409219A1 (en) Access control for long-lived resource principals
US20120246695A1 (en) Access control of distributed computing resources system and method
US11811679B2 (en) Stacked identities for resource principals
JP2024509739A (ja) コンテナアプリケーションの最小クラウドサービスアクセス権を自動的に設定する技術
US11297066B2 (en) Constrained roles for access management
US20130144633A1 (en) Enforcement and assignment of usage rights
JP2014507736A (ja) ソフトウェアライセンスコントロール
CN111062028A (zh) 权限管理方法及装置、存储介质、电子设备
CN112019543A (zh) 一种基于brac模型的多租户权限系统
JP2004158007A (ja) コンピュータアクセス権限
US20240007458A1 (en) Computer user credentialing and verification system
CN115865502A (zh) 权限管控方法、装置、设备及存储介质
CA2830880C (en) Managing permission settings applied to applications
US10146707B2 (en) Hardware-based memory protection
CN110691099B (zh) 一种微服务架构下实现级联授权的系统及方法

Legal Events

Date Code Title Description
NENP Non-entry into the national phase

Ref country code: DE

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 17755804

Country of ref document: EP

Kind code of ref document: A1

122 Ep: pct application non-entry in european phase

Ref document number: 17755804

Country of ref document: EP

Kind code of ref document: A1